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(57) Abstract: The invention relates to a method for 
carrying out a cryptographic calculation, whereby a key 
(12) with at least two key parameters (p, q, pinv, sp, dp, 
sq, dq) is used. An integrity check (30, 34, 40, 54) of the 
key ( 12) is carried out in order to prevent a cryptographic 
access, whereby conclusions about at least one second 
key parameter (p, q, pinv. sp, dp, sq, dq) can be drawn 
by means of falsifying at least one first key parameter 
(p, q, pinv, sp, dp, sq, dq). A further method serves for 
the determination of a key for a cryptographic calcula- 
tion with at least two key parameters (p, q, pinv, sp, dp, 
sq, dq), provided for use in the first method. A com- 
puter programme product and a portable data support 
have corresponding features. The invention permits a 
particularly effective protection against attack for cryp- 
tographic calculations. 

(57) Zusammenfassung: Bei einem Verfahren zum 
geschutzten Ausfuhren einer kryptographischen 
Berechnung, bei der ein Schlussel (12) mit mindestens 
zwei Schlussel parametern (p, q, pinv, sp, dp, sq, dq) 
herangezogen wird, wird eine Integritatsuberprufung 
(30, 34, 40, 54) des Schlussels (12) durchgefuhrt, 
um einen kryptographischen Angriff zu verhindem, 
bei dem durch eine Verfalschung mindestens eines 
ersten Schlussel parameters (p, q, pinv, sp, dp, sq, 
dq) Ruckschliisse auf mindestens einen zweiten 
Schlusselparameter (p, q, pinv, sp, dp, sq, dq) 
gezogen werden. Ein wei teres Verfahren dient zum 
Bestimmen eines Schlussels fur eine kryptographische 
Berechnung mit mindestens zwei Schlusselparametern 
(p, q, pinv, sp, dp, sq, dq), der zur Verwendung in 
dem erstgenannten Verfahren vorgesehen ist. Ein 

[Fortsetzung aufder nachsten Seite] 
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weisen entsprechende Merkmale auf. Die Erfindung ermoglicht einen besonders guten Schutz kryptographischer Berechnungen 
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Geschutzte kryptographische Berechnung 

Die Erfindung betrifft allgemein das technische Gebiet der Kryptographie 
5 und spezieller eine Vorgehensweise zum verbesserten Schutz einer krypto- 
graphischen Berechnung gegen Angriff e. Insbesondere ist die Erfindung 
zum Einsatz in tragbaren Datentragern vorgesehen, die z.B. als Chipkarten 
(smart cards) in unterschiedlichen Bauf ormen oder als Chipmodule ausge- 
staltet sein kSnnen. 

Fur den Austausch von verschlusselten und/ oder signierten Daten ist das 
z.B. im US-Patent 4,405,829 beschriebene RSA-Verfahren gut bekannt. Ge- 
mafi dem RSA-Verfahren wird ein Sffentlicher Schliissel zur Verschliisselung 
oder Signaturverif ikation und ein geheimer privater Schliissel zur Entschliis- 
15 selung oder Signaturerzeugung eingesetzt. Die Sicherheit des RSA-Verfah- 
rens beruht auf der Tatsache, dafi gegenwartig kein eff izienter Weg bekannt 
ist, um die Primfaktoren p und q einer grofien Zahl n mit n = pq zu bestim- 
men. Wahrend der sogenannte Modulus n als Teil des offentlichen Schliissels 
veroffentlicht wird, miissen die Werte p und q geheim gehalten werden. 

20 

Die zur Ausfiihrung des RSA-Verfahrens erforderlichen Berechnungsvor- 
gange sind relativ aufwendig. So miissen z.B. bei der Entschltisselung oder 
Signaturerzeugung die zu verarbeitenden Daten mit Parametern des priva- 
ten Schliissels potenziert werden. Insbesondere fur tragbare Datentrager mit 

25 ihrer beschrankten Rechenleistung wird daher haufig eine Implementierung 
des RSA-Verfahrens zur Entschltisselung oder Signaturerzeugung einge- 
setzt, die den Chinesischen Resiklassensatz (CRT = Chinese remainder 
theorem) verwendet und daher auch als RSA-CRT-Verfahren bezeichnet 
wird. Durch Verwendung des RSA-CRT-Verfahrens wird der erforderliche 

30 Rechenaufwand ungef ahr um den Faktor 4 reduziert. 
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Das RSA-CRT-Verfahren sieht vor, statt einer aufwendigen Potenzberech- 
nung zwei erheblich einf achere Potenzierungen durchzufuhren, deren Er- 
gebnisse dann zu den entschltisselten Daten oder der erzeugten Signatur 
kombiniert werden. In die erste dieser Berechnungen geht nur der geheime 
5 Primf aktor p ein, und in die zweite Berechnung geht nur der geheime Prim- 
faktor q ein. 

Es sind Angiff sszenarien vorgeschlagen worden, bei denen genau einer der 
beiden genannten RSA-CRT-Berechnungszweige gestSrt wird, z.B. durch 
gezielte Einwirkung von Warme oder Strahlung oder durch elektrische 
Impulse. Wenn dies gelingt, lafit sich aus dem Ergebnis der Gesamtberech- 
nung ein Vielf aches desjenigen Primfaktors p, q ableiten, dessen Berech- 
nungszweig nicht gestiJrt wurde. Mit anderen Worten lassen sich durch den 
beschriebenen Angriff Ruckschltisse auf den privaten Schlussel Ziehen. Dies 
hat potentiell katastrophale Konsequenzen, weil nicht nur die gerade durch- 
gefiihrte Entschltisselung oder Signaturerzeugung, sondern alle unter Ver- 
wendung des privaten Schlussels ausgefuhrten kryptographischen Opera- 
tionen kompromittiert werden. 

Der gerade erwahnte Angriff ist unter den Namen "fault attack" oder 
"Bellcore attack" bekannt und z.B. in Spalte 4 des US-Patents 5,991,415 be- 
schrieben. Ebenfalls im US-Patent 5,991,415 wird ein Verfahren offenbart, bei 
dem zum Schutz gegen diesen wahrend der kryptographischen Berechnung 
erfolgenden Angriff ein zusatzlicher Faktor j in die Berechnung eingeht. Es 
bestehen jedoch, wie im folgenden gezeigt werden wird, weiterhin Angriff s- 
mSglichkeiten, denen mit dem aus dem US-Patent 5,991,415 bekannten Ver- 
fahren nicht entgegengetreten werden kann. 
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Besonders kritisch ist die genannte Angriffsmdglichkeit dann, wenn die 
kryptographische Berechnung von einem Prozessor eines tragbaren Daten- 
tragers, beispielsweise einer Chipkarte (smart card) oder eines Chipmoduls, 
ausgefuhrt wird. Ein erster Grund dafttr ist, dafi solche tragbaren Daten- 
5 trager oft fur sicherheitskritische Anwendungen verwendet werden, z.B. im 
Zusammenhang mit Fmanztransaktionen, der Zugangskontrolle oder der 
Signatur von rechtlich bindenden Dokumenten. Zweitens befinden sich 
tragbare Datentrager, wahrend die kryptographische Berechnung ausgefuhrt 
wird, typischerweise im Besitz des Angreifers, so dajg dieser alle Moglichkei- 
10 ten zum Beeinflussen der Berechnung und zum Ausspahen der Berech- 
nungsergebnisse hat. 

Die Erfindung hat die Aufgabe, eine Technik zum besonders guten Schutz 
kryptographischer Berechnungen gegen Angriffe bereitzustellen. Insbeson- 
15 dere sollen solche Angriffe verhindert werden, die auf ahnlichen Prinzipien 
wie der oben beschriebene "Bellcore attack" beruhen. In bevorzugten Ausge- 
staltungen soil der erfindungsgemafie Schutz vorteilhaft mit anderen Schutz- 
verf ahren zusammenwirken. 

20 Erfindungsgemafi wird diese Aufgabe ganz oder zum Teil gelfist durch ein 
Verf ahren zum geschiitzten Ausftthren einer kryptographischen Berechnting 
mit den Merkmalen des Anspruchs 1, ein Verfahren zum Bestimmen eines 
Schlussels fur eine. kryptographische Berechnung mit den Merkmalen des 
Anspruchs 12, ein Computerprogrammprodukt gemafi Anspruch 14 und ei- 

25 nen tragbaren Datentrager gemafi Anspruch 15. Die abhangigen Ansprtiche 
definieren bevorzugte Ausgestaltungen der Erfindung. Die Aufzahlungsrei- 
henfolge der Verfahrensschritte in den Ansprtichen soil nicht als Einschran- 
kung des Schutzbereichs aufgef afit werden; es sind vielmehr Ausgestaltun- 
gen der Erfindung vorgesehen, bei denen diese Verfahrensschritte ganz oder 
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teilweise in anderer Reihenfolge oder ganz oder teilweise parallel oder ganz 
oder teilweise ineihander verzahnt (interleaved) ausgeftihrt werden. 

Die Erfindung geht von der grundlegenden Erkenntnis aus, dafi ein Angriff 
5 ahnlich dem oben beschriebenen "Bellcore attack" nicht nur durch Stoning 
der Berechnungsvorgange wahrend der kryptographischen Berechnung 
mdglich ist, sondern auch dadurch, dafi die kryptographische Berechnung 
mit f ehlerhaf ten Parametern versorgt wird. Dies kann beispielsweise durch 
die Ubergabe einer f alschen Zeigeradresse an die Berechnungsroutine 

10 erf olgen, oder dadurch, dafi der Inhalt von Speicherf eldern, in denen 

Schliisselparameter enthalten sind, von aufien geSndert wird. Die Erfinder 
haben erkannt, dafi aus dem Ergebnis einer kryptographischen Berechnung, 
die mit derartig verfelschten Parametern versorgt wird, moglicherweise 
Riickschlusse auf geheimzuhaltende Schlusselparameter gezogen werden 

15 konnen. 

Erfindungsgemafi ist vorgesehen, zum Schutz gegen einen solchen Angriff 
eine Integritatsuberprufung des fiir die kryptographische Berechnung heran- 
gezogenen Schlxissels auszufuhren. Durch diese Mafinahme kann der An- 

20 griff erkannt und abgewehrt werden, indem z.B. die kryptographische Be- 
rechnung ohne Ausgabe eines Ergebnisses abgebrochen wird. Die Integri- 
tatsuberprufung kann eine Manipulation der Schlusselparameter in der 
Regel nicht mit absoluter Sicherheit ausschliefien; sie soil jedoch einen fiir 
praktische Zwecke ausreichenden Schutz gegen den genannten Angriff 

25 bieten. Dies impliziert, dafi eine einf ache Wertebereichsuberwachung (range 
check) mit einer f esten unteren Grenze und einer f esten oberen Grenze nicht 
als Integritatsprufung im Sinne der vorliegenden Erfindung anzusehen ware. 
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Vorzugsweise ist die Integritatsprtifung so gestaltet, dafi eine Manipulation, 
bei der ein iiberwachter Schlusselparameter in zufalliger Weise verf alscht 
wird, mit an Sicherheit grenzender Wahrscheinlichkeit, z.B. mit einer 
Wahrscheinlichkeit grdfier als 1 - 10" 3 oder grofier als 1 - 1(H oder grofier als 
5 1 - 10- 9 , erkannt wird. Wahrend die Integritatsuberpriifung in manchen Aus- 
gestaltungen nur einzelne, besonders kritische Schlusselparameter umfafit, 
ist vorzugsweise vorgesehen, samtliche Parameter eines geheimzuhaltenden 
Schliissels zu uberwachen. Fur einzelne Parameter oder Parametergruppen 
kOnnen hierbei im Zuge der Integritatsuberprtif ung unterschiedliche Prti- 
10 fungsverfahren ausgefuhrt werden. 

Die zur mtegritatsiiberprufung eingesetzten Verf ahren haben jeweils das 
Ziel, eine Verfalschung des iiberwachten Schlasselparameters oder der iiber- 
wachten Schlusselparameter zu erkennen. In einer bevorzugten Ausgestal- 

15 rung wird bei der mtegritatsuberprttfung im Ergebnis ermittelt, ob sich ein 
Schlusselparameter innerhalb eines zulassigen, mehrfach unterbrochenen. 
Wertebereichs befindet. Diese Priifungsart liegt in der Regel dann vor, wenn 
der Schlusselparameter bei der Schliisselerzeugung aus dem eigentlich fur 
diekryptographische Berechnung benStigten Wert und einem zusatzlichen, 

20 an sich redundanten Sicherungswert berechnet wurde, wie dies z.B. bei Prtif- 
summenberechntmgen der Fall ist. 

Wahrend es vorgesehen sein kann, manche oder alle Schlusselparameter 
jeweils einzeln zu iiberprufen, wird vorzugsweise bei der Integritatsuberprii- 
25 fung ermittelt, ob mindestens zwei Schlusselparameter in einer vorbestimm- 
ten Beziehung zueinander stehen. Die Integritatsuberpriifung kann eine 
multiplikative Operation beinhalten, worunter in der Wortwahl des vorlie- 
genden Dokuments eine Multiplikation, eine Division, eine Potenzierung, 
eine Modulo-Berechnung und eine Teilbarkeitspriifung zu verstehen sind. 
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Vorzugsweise wird tiberprtift, ob ein Schltisselparameter oder ein davon 
abgeleiteter Wert glatt durch einen Sicherungswert teilbar ist. In diesem Fall 
wird der Schltisselparameter bei der Schltisselgenerierung vorzugsweise 
durch eine Multiplikation des eigentlich fur die kryptographische Berech- 
5 nung benfitigten Wertes mit dem Sicherungswert gewonnen. Der Siche- 
rungswert kann Bestandteil des Schltissels oder fest vorgegeben sein. 

Das erfindungsgemafie Verfahren ist fiir aUe kryptographischen Berechnun- 
gen geeignet, bei denen ein kryptographischer Angriff durch Verfalschung 

10 mindestens eines ersten Schltisselparameters Rtickschltisse auf mindestens 
einen zweiten Schltisselparameter ermoglicht. Insbesondere ist die Erfin- 
dung fiir die Sicherung der Entschltisselung oder Signaturerzeugung bei 
einem RSA-Verfahren, vorzugsweise bei einem RSA-CRT-Verf ahren, vor- 
gesehen. In diesen Fallen betrif ft die Integritatsuberpruf ung den privaten 

15 RSA-Schliissel. Es ist zu erwarten, dafi entsprechende AngriffsmSglichkeiten 
ftir weitere kryptographische Berechnungen gefunden werden, die dann 
ebenfalls auf die erfindungsgemaiSe Weise gesichert werden konnen. 

In bevorzugten Ausgestaltungen wird bei der Integritatspriifung ermittelt, 
20 ob ein bei einer Potenzierungsoperation verwendeter Exponent glatt durch 
einen Sicherungswert teilbar ist. Diese Ausfiihrungsformen der Erfindung 
lassen sich besonders vorteilhaft mit einem Exponenten-Verschleierungs- 
verfahren kombinieren, wie es aus der internationalen Off enlegungsschrift 
WO 01/48974 Al bekannt ist. In weiteren vorteilhaften Ausgestaltungen 
25 werden - alternativ oder zusStzlich zu der gerade genannten Exponenten- 
verschleierung - die Primfaktoren des RSA-Verfahrens mit einem Ver- 
schleierungsparameter multipliziert, so dafi das Berechnungsergebnis mirtels 
einer Gleichheitsuberprttfung modulo des Verschleierungsparameters auf 
seine Korrektheit tiberpriift werden kann. 
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Das erfindungsgemafie Computerprogrammprodukt weist Programm- 
befehle auf, urn das erfindungsgemafie Verfahren zu implementieren. Ein 
derartiges Computerprogrammprodukt kann ein korperliches Medium sein, 
5 beispielsweise ein Halbleiterspeicher oder eine Diskette oder eine CD-ROM, 
auf dem ein Programm zur Ausfuhrung eines erfindungsgemafien Verfah- 
rens gespeichert ist. Das Computerprogrammprodukt kann jedoch auch ein 
rucht-kOrperliches Medium sein, beispielsweise ein iiber ein Computernetz- 
werk ubermitteltes Signal. Das Computerprogrammprodukt kann insbeson- 
10 dere zur Verwendung im Zusammenhang mit der Herstellung und/oder 
Initialisierung und/oder Personalisierung von Chipkarten oder sonstigen 
Datentragern vorgesehen sein. 

In bevorzugten Ausgestaltungen sind das Computerprogrammprodukt 
15 und/ oder der tragbare Datentrager mit Merkmalen weitergebildet, die den 
oben beschriebenen und/oder den in den abhangigen Verfahrerisanspruchen 
genannten Merkmalen entsprechen. 

Weitere Merkmale, Vorteile und Aufgaben der Erfindung gehen aus der fol- 
20 genden genauen Beschreibung mehrerer Ausfuhrungsbeispiele und Ausfiih- 
rungsalternativen hervor. Es wird auf die schematischen Zeichnungen ver- 
wiesen, in denen zeigeru 

Fig. 1 ein beispielhaftes Flufidiagramm eines Verfahrens zur Schliisselberech- 
25 nung mit DarsteUung eines 6ff entlichen und eines privaten Schliissels, 



Fig. 2 ein beispielhaftes Flufidiagramm eines kryptographischen Berech- 
nungsverfahrens, 
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Fig. 3 ein beispielhaftes Flufidiagramm eines Ausschnitts des Verfahrens von 
Fig. 2 in einer abgewandelten Ausgestaltung, und 

Fig. 4 ein beispielhaftes Flufidiagramm eines weiteren Ausfiihrungsbeispiels 
5 des kryptographischen Berechnungsverfahrens. 

Das in Fig. 1 dargestellte Verf ahren dient zur Berechnung eines off entlichen 
Schliissels 10 und eines privaten Schliissels 12, die zur Verwendung in einem 
RSA-Verfahren ausgestaltet sind. Die gestrichelten Pfeile geben jeweils an, 

10 welcher Schlusselparameter durch welchen Verfahrensschritt erzeugt wird. 
Im Zusammenhang mit einer Verwendung des Schlusselpaares 10, 12 durch 
tragbare Datentrager (z.B. Chipkarten) kann das Verfahren z.B. im Zuge def 
Initialisierung oder Personalisierung des Datentragers in einer gesicherten 
Umgebung ausgefiihrt werden. Das extern berechnete Schlusselpaar wird 

15 dann als Teil der Initialisierungs- oder Personalisierungsdaten in den Daten- 
trager iibertragen. Alternativ ist es auch moglich, dafi das Verfahren von 
Fig. 1 durch den Datentrager selbst ausgeftihrt wird, um das Schlusselpaar 
zu bestimmen. 

20 Der offentliche Schliissel 10 weist als Schlusselparameter einen Modulus n 
und einen Qffentlichen Exponenten e auf. Der private Schlussel 12 ist fur 
RSA-Berechnungen unter Verwendung des Chinesischen Restklassensatzes 
vorgesehen, die hier auch als RSA-CRT-Berechnungen (CRT = Chinese 
remainder theorem) bezeichnet werden. Als Schliisselparameter weist der 

25 private Schlussel 12 einen ersten und einen zweiten Primfaktor p, q, einen 
CRT-Koeffizienten pinv, einen ersten und einen zweiten Sicherungswert sp, 
sq sowie einen gesicherten ersten und einen gesicherten zweiten CRT-Expo- 
nenten dp, dq auf. 
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Das in Fig. 1 dargestellte Verfahren begiitnt in an sich.bekannter Weise in 
Schritt 14 mit der zufalligen Auswahl zweier Primzahlen mit einer Lange 
von z.B. je 1024 oder 2048 Bit, die als erster und zweiter Primfaktor p, q im 
privaten Schliissel 12 gespeichert werden. Im darauffolgenden Schritt 16 
5 wird der Modulus n des 6ffentlichen Schliissels 10 als Produkt der beiden 
Primf aktoren p, q berechnet. Der Sffentliche Exponent e wird in Schritt 18 als 
Zufallszahl bestimmt, die teilerfremd zum Wert (p-l)-(q-l) ist. Da im vorlie- 
genden Ausfuhrungsbeispiel der private Schliissel 12 auf RSA-CRT-Berech- 
nungen zugeschnitten ist, wird in Schritt 20 das modulare Inverse von p 
10 modulo q berechnet und als CRT-Koefizient pinv in den privaten Schliissel 
12 aufgenommen. 

In Schritt 22 wird der Wert d als modulares Inverses des Sffentlichen Expo- 
nenten e modulo (p-l)-(q-l) berechnet. In RSA-Verfahren, die den Chinesi- 

15 schen Restklassensatz nicht einsetzen, ware d als privater Exponent der 

Hauptbestandteil des privaten Schliissels. In bekannten RSA-CRT-Verfahren 
wiirden start d die beiden CRT-Exponenten d mod (p-1) und d mod (q-1) 
verwendet werden. Im vorliegenden Ausfuhrungsbeispiel enthalt der 
private Schliissel 12 dagegen Werte, die aus den genannten CRT-Exponenten 

20 d mod (p-1) und d mod (q-1) durch eine zusatzliche Sicherungsmafinahme 
abgeleitet sind. Diese Sicherungsmafinahme ist hier beispielhaft die Multi- 
plikation mit je einem Sicherungswert. Eine Manipulation der gesicherten 
Werte kann dann durch eine TeUbarkeitsuberprufung festgestellt werden. In 
Ausfuhrungsalternativen sind andere Sicherungsmafinahmen vorgesehen, 

25 z.B. eine Prufsummenbildung oder die mehrfache Obergabe von zumindest 
den wichtigen Ubergabeparametern. 

Als Sicherungswerte sp, sq werden in Schritt 24 zwei Zufallszahlen mit einer 
Lange von beispielsweise je 64 Bit (8 Byte) erzeugt. Der gesicherte erste 
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CRT-Exponent dp wird in Schritt 26 gemafi dp := (d mod (p-1)) • S p 
berechnet. Entsprechend wird der gesicherte zweite CRT-Exponent dq in 
Schritt 28 durch die Berechnung dq := (d mod (q-1)) • sq bestimmt. Die 
genannten Werte werden samtlich als Parameter des privaten Schliissels 12 
5 abgespeichert. Damit ist die Bestimmung eines gegen Manipulationen 
geschiitzten privaten Schltissels 12 beendet. 

Im vorliegenden Ausfiihrungsbeispiel liegt der private Schliissel 12 im 
wesentlichen in Form einer Datenstruktur RSAPrivateCRTKey gemafi den 

10 Konventionen der Java-Card- Anwendtmgsprogrammierungsschnittstelle 
vor. Diese Konventionen sind im Dokument "Java Card™ 2.1.1 Application 
Programming Interface", Revision 1.0, 18. Mai 2000, herausgegeben von Sim 
Microsystems, Inc., USA, gegenwartig verfugbar unter http:/ /java.sun.com/ 
products/ javacard/javacard21 .html, beschrieben. Die dort vorgesehene Da- 

15 tenstruktur weist Felder DPI und DQ1 fur die ungesicherten CRT-Exponen- 
ten d mod (p-1) und d mod (q-1) auf. Um den privaten Schliissel 12 gemafi 
dem vorliegenden Ausfuhrungsbeispiel in einer derartigen Datenstruktur 
unterzubringen, ist im vorliegenden Ausfuhrungsbeispiel vorgesehen, dafi 
die Werte sp und dp zusammen in dem Feld DPI des RSAPrivateCRTKey 

20 gespeichert werden, und dafi entsprechend die Werte sq und dq zusammen 
in dem Feld DQ1 gespeichert werden. In Fig. 1 ist dies durch gepunktete 
Linien angedeutet. In Ausfuhrungsvarianten k6nnen die Werte sq und dq 
auch in anderen Feldern des RSAPrivateCRTKey oder aufierhalb dieser Da- 
tenstruktur abgelegt werden. 

25 

Die hier beschriebenen Ausftthrungsbeispiele weichen insof ern geringfugig 
von der oben genannten Java-Card-Spezifikation ab, als vorliegend das 
modulare Inverse von p modulo q als CRT-Koefizient pinv im privaten 
Schlussel 12 enthalten ist. Gemafi der Java-Card-Spezifikation wird dagegen 
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ein CRT-Koeffizient PQ verwendet, der das modulare Inverse von q modulo 
p ist. Es sind Abwandlungen der hier beschriebenen Verfahren vorgesehen, 
bei denen der CRT-Koeffizient PQ entsprechend der Java-Card-Spezifikation 
Bestandteil des privaten Schliissels 12 ist. Die erfindungsgemafien Ideen sind 
auch fiir derartige Ausgestaltungen ohne wesentiiche Veranderung einsetz- 
bar. 



Fig. 2 zeigt eine erste Ausgestaltung eines gesicherten RSA-CRT-Verfahrens, 
das zur Entschliisselung oder Signaturerzeugung dient. Das Verfahren ist 

10 dazu vorgesehen, von einem Prozessor eines tragbaren Datentragers, insbe- 
sondere einer Chipkarte (smart card) oder eines Chipmoduls, ausgefiihrt zu 
werden. Das Verfahren ist dazu in Form von Programmbefehlen fiir diesen 
Prozessor implementiert, die in einem ROM oder EEPROM des Datentragers 
gespeichert sind. Der zur Entschliisselung oder Signaturerzeugung benStigte 

15 private Schliissel 12 ist ebenfaUs im EEPROM des Datentragers gespeichert. 

Beim Verfahrensaufruf wird ein Zeiger auf den privaten Schliissel 12 an die 
aufgerufene Entschliisselungs- oder Signaturerzeugungsroutine iibergeben. 
Die Erfinder haben erkannt, dafi ein kryptographischer Angriff dadurch aus- 

20 gefuhrt werden kann, dafi einzelne Parameter des privaten Schliissels 12 vor 
Beginn der Entschliisselung oder Signaturerzeugung manipuliert werden. 
Dies kann z.B. durch gezielte Einwirkung auf das den privaten Schliissel 12 
enthaltende EEPROM oder durch Uhergabe einer fehlerhaften Adresse an 
die RSA-CRT-Routine geschehen. Ein derartiger Angriff hatte die aufierst 

25 nachteilige Konsequenz, dafi sich aus dem Berechnungsergebnis - z. B. den 
entschliisselten Daten oder der erzeugten Signatur - Riickschliisse auf die 
Werte der geheimen Schliisselparameter Ziehen liefien. Dadurch ware das 
Schliisselpaar 10, 12 fiir alle bisherigen und zukiinftigen Berechnungen kom- 
promittiert. 
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Urn einen derartigen kryptographischen Angriff zu verhindern, ist bei dem 
Verfahren von Fig. 2 eine mtegritatsuberprufung des privaten Schliissels 12 
vorgesehen, die eine Folge von mehreren Teilpriifungen beinhaltet. In Fig. 2 
5 ist durch die gestrichelten Pfeile angedeutet, welche Schliisselparameter in 
die jeweiligen Teilpriifungen eingehen. 

Das Verfahren beginnt in Schritt 30 mit der Teilprufung, ob der im privaten 
Schliissel 12 enthaltene CRT-Koeffizient pinv tatsachlich das modulare 

10 Inverse zum ersten Primfaktor p modulo des zweiten Primfaktors q dar- 
stellt. Mit anderen Worten wird iiberpruft, ob die vorgegebene Beziehung 
p pinv = 1 mod q erfullt ist. Ist dies nicht der Fall, so erfolgt ein Fehleraus- 
sprung, und das Verfahren wird abgebrochen Ist die ttberprufung erf olg- 
reich, so kann davon ausgegangen werden, da6 die Schlusselparameter p, q 

15 und pinv nicht manipuliert worden sind, und das Verfahren wird 
fortgesetzt. 

Im nun folgenden Berechnungsmodul 32 wird als Ergebnis des ersten der 
beiden CRT-Berechnungszweige ein erster Hilfswert yl bestimmt. In diese 
20 Berechnung gehen die zu entschliisselnden oder zu signierenden Daten x,. 
der erste Primfaktor p und der erste CRT-Exponent d mod p-1 ein, wobei der 
letztgenannte Wert nicht unmittelbar zur Verfugung steht, sondern aus dem 
gesicherten ersten CRT-Exponenten dp und dem ersten Sicherungswert sp 
abgeleitet werden mufi. 

25 

Zur Oberprufung, ob einer der beiden Werte sp, dp manipuliert worden ist, 
wird zunachst in Schritt 34 eine TeilbarkeitsprOfung vorgenommen. Falls der 
gesicherte erste CRT-Exponent dp nicht glatt durch den ersten Sicherungs- 
wert sp teilbar ist, erfolgt wiederum ein Fehleraussprung und Verfahrens- 
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abbruch. Wenn dagegen die Division ohne Rest aufgeht, kann mit an Sicher- 
heit grenzender Wahrscheinlichkeit angenommen werden, dafi zumindest 
keine zufallige Verfalschung eines der beiden Schliisselparameter sp und dp 
stattgefunden hat. Diese TeilbarkeitsprQfung stellt nur einen geringen zu- 
5 satzlichen Recheraufwand dar, da der Sicherungswert sp nur eine relativ 
geringe Bitlange aufweist. Eine gezielte Manipulation der beiden Parameter 
sp und dp unter Kenntnis des vorgesehenen Sicherungsmechanismus kQnnte 
durch das hier beschriebene Verf ahren naturlich nicht entdeckt werden; es 
ist aber gegenwartig nicht vorstellbar, wie ein Angreif er ein derartiges ge- 
10 zieltes Einschreiben neuer Werte in einzelne EEPROM-Zellen des Daten- 
tragers bewerkstelligen konnte. 

Wenn die Integritatsuberprufung hinsichtlich der Parameter sp und dp in 
Schritt 34 erfolgreich war, wird in Schritt 36 die eigentliche Berechnung des 

15 ersten Hilfswerts yl gemafi yl := (x mod p) A (dp/sp) ausgefuhrt. Hierbei 
kann hinsichtlich des Exponenten dp/sp natiirUch in der Regel auf das 
bereits in Schritt 34 berechnete Divisionsergebnis zuriickgegriffen werden. 
Da das Sicherungsverf ahren im vorliegenden Ausfiihrungsbeispiel einfach 
aus einer Multiplikation mit dem ersten Sicherungswert sp bestand - siehe 

20 Schritt 26 in Fig. 1 -, gilt dp/sp = d mod (p-1) und somit yl = (x mod p) A (d 
mod (p-1)). Dies ist das gewiinschte Ergebnis des ersten CRT- 
Berechnungszweigs. 

Ein zweites Berechnungsmodul 38 entspricht dem zweiten CRT-Berech- 
25 nungszweig. Das Verfahren lauft ebenso wie im ersten Berechnungsmodul 
32 ab, wobei jedoch der zweite Primfaktor q, der zweite Sicherungswert sq 
und der gesicherte zweite CRT-Exponent dq herangezogen werden. In 
Schritt 40 f olgt wiederum die Integritatsuberprufung hinsichtlich der 
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Schlusselparameter sq und dq, und in Schritt 42 wird der zweite Hilfswert 
y2 gemafi der Formel y2 := (x mod q) A (dq/sq) berechnet. 

In dem das Verfahren abschliefienden Berechnungsschritt 44 wird das Ge- 
5 samtergebnis y, also die entschltisselten Daten oder die berechnete Signatur, 
auf an sich bekannte Weise durch Kombination der beiden CRT-Hilf swerte 
yl und y2 bestimmt. Die hier durchgefuhrte Berechnung lafit sich formel- 
mafiig als y := (((y2 - yl) • pinv) mod q) . p + yl ausdriicken. Fiir die yom 
Prozessor des Datentragers vorgenommenen Berechnungsschritte kSnnen 

10 naturlich unterschiedliche Auswertungsreihenfolgen gewahlt werden. 
Generell sind aus der Literatur imterschiedliche Varianten der RSA-CRT- 
Berechnimgen der Schritte 36, 42 und 44 bekannt, die sich insbesondere 
dahingehend unterscheiden, auf welche Weise Zwischenergebnisse auf die 
jeweiligen Modulo-Bereiche reduziert werden. Die erfindungsgemafie Idee 

15 der Integritatsuberprufung und die im vorhegenden Ausftihrungsbeispiel 
vorgeschlagene multiplikative Sicherung der CRT-Exponenten dp und dq 
konnen mit alien diesen Varianten kombiniert werden. 

Die mtegritatsprufung gemafi der vorliegenden Erfindung richtet sich 
20 insbesondere gegen einen kryptographischen Angriff, der zeitlich vor den 
RSA-Berechnungen - spatestens wahrend der Parameteriibergabe an die 
RSA-Routine - ausgefuhrt wird. Die Pruning bei der Parametertibergabe 
kann in einfacher Weise auch erf olgen, indem neben den 
tJbergabeparametern auch noch damit verbundene redundante Information, 
25 beispielsweise in Form von Prufsummen abgespeichert ist, und nach der 
Parameterubergabe eine abgespeicherte Prufsumme mit einer neu fiber die 
iibergebenen Parameter errechneten Prufsumme verglichen wird. Alternativ 
k6nnen zumindest wichtige Ubergabeparameter mehrf ach tibergeben und 
nach der Dbergabe auf Identitat gepriift werden. 
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Es sind weitere Angriffsverfahren bekannt, die auf eine Ausspahung der 
einzelnen Berechnungsschritte abzielen, urn Ruckschlusse auf 
geheimzuhaltende Schliisselparameter zu ermoglichen. Insbesondere die 
5 Exponentenbildung in den Schritten 36 und 42 ist solchen Angriffen 
ausgesetzt, weil bei iiblichen Implementierungen der Potenzie- 
rungsoperation die Prozessoraktivitat wahrend des Berechnungsablaufs 
erheblich von der Bitfolge des Exponenten abhangt. Diese Prozessoraktivitat 
kann durch Messung des Stromverbrauchs (SPA = simple power analysis 
10 oder DPA = differential power analysis) oder anderer Signale wie z.B. 
elektrischer Feldstarken ausgespaht werden. 

Zum Schutz gegen derartige Angriff e ist in der internationalen Patentver- 
offentlichung WO 01/48974 Al vorgeschlagen worden, den Exponenten mit 

15 Rest durch eine Zufallszahl zu teilen und statt einer einzigen Potenzierungs- 
operation drei getrennte Potenzierungen vorzunehmen, wobei als Exponen- 
ten der ganzzahlige Quotient, die Zufallszahl sowie der bei der Teilung 
ermittelte Rest verwendet werden. Dieses Verfahren ist im Detail in der 
genannten Patentveroff entlichung beschrieben, deren Inhalt hiermit voll- 

20 standig in das vorliegende Dokument aufgenommen wird. 

Es ist ein besonderer Vorteil des Sicherungsverf ahrens gemafi der vorlie- 
genden Erfindung, dafi sich dieses leicht mit dem auch als "exponent 
blinding" bezeichneten Verschleierungsverf ahren gemafi der 
25 WO 01/48974 Al kombinieren lafit, wobei sich insbesondere die fur das 
Verschleierungsverfahren sowieso benStigte Division auch fur das 
Sicherungsverfahren gemafi der vorliegenden Erfindung nutzen lalit Das 
erfindungsgemMfie Verfahren kann dadurch mit sehr geringem 
Mehraufwand implementiert werden. 
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Fig. 3 zeigt die Verfahrensschritte eines Berechnungsmoduls 32', das gegen- 
uber dem Berechnungsmodul 32 von Fig. 2 so abgewandelt ist, dafi es zu- 
satzlich die aus der WO 01/48974 Al an sich bekannte Technik der Exponerv- 
5 ten-Verschleierung anwendet. Hierzu wird zunachst in Schritt 46 eine Zu- 
fallszahl r mit einer Lange von beispielsweise 64 Bit (8 Byte) gewahlt. In 
Schritt 48 wird eine Division mit Rest durchgefiihrt, um den gesicherten 
CRT-Exponenten dp in die Faktoren dpi und r-sp sowie den Rest dp2 auf zu- 
teilen; es gilt dp - dpl r sp + dp2. Im Gegensatz zu dem aus 
10 WO 01/48974 Al bekannten Verfahren wird in Schritt 48 also als Divisor 
nicht die Zufallszahl r, sondern der Wert r-sp verwendet. 

In den Schritten 50 und 52 werden nun die ersten beiden Potenzierungs- 
operationen vorgenommen, indem der Basiswert x mod p zunachst mit der 

15 Zufallszahl r und das so erhaltene Zwischenergebnis yll dann mit dem 
ganzzahligen Quotienten dpi potenziert werden. Fur das Ergebnis yl2 gilt 
somit yl2 = ((x mod p) A r) A dpl - (x mod p)*(r-dpl). Der Sicherungswert sp 
ist in die Schritte 50 und 52 nicht eingeflossen, da insoweit die zur Sicherung 
des CRT-Exponenten dp dienende Multiplikation bereits im Zusammenhang 

20 mit der Division 48 ruckgangig gemacht wurde. 

In Schritt 54 erf olgt nun - analog zu Schritt 34 in Fig. 2 - eine Teilbarkeits- 
prtifung, um die Integritat der Schliisselparameter sp und dp sicherzustellen. 
Im Gegensatz zu Schritt 34 in Fig. 2 wird hierbei jedoch nicht der gesicherte 
25 CRT-Exponent dp, sondern der Divisionsrest dp2 durch sp geteilt Da sich 
dp2 von dp nur durch ein Vielfaches von r-sp - und somit durch ein 
Vielfaches von sp - unterscheidet, sind die beiden Oberprufungen gleich- 
wertig. Der durch die Ausfiihrung von Schritt 54 entstehende Berechnungs- 
aufwand ist jedoch wegen des erheblich kiirzeren Dividenden dp2 erhebUch 
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geringer als bei der Berechnung von Schritt 34 in Fig. 2. Oberdies wird das 
ganzzahlige Divisionsergebnis dp2/sp im folgenden Schritt 56 benotigt. Die 
Division und Teubarkeitsprufung in Schritt 54 steUt im Vergleich zu dem 
bekannten Verfahren gemafi WO 01/48974 Al den einzigen zusatzlichen 
5 Rechenaufwand dar. 

Falls dp2 kein glattes Vielf aches von sp ist, wird das Verfahren in Schritt 54 
mit einem Fehleraussprung abgebrochen. AndernfaUs wird in Schritt 56 ein 
weiterer Zwischenwert yl3 gemafi yl3 := (x mod p) A (dp2/sp) berechnet. Als 
10 Ergebnis yl des Berechnungsmoduls 32' wird in Schritt 58 das Produkt 

yl2 yl3 bestimmt. Dieses Ergebnis ist identisch mit dem ersten Hilfswert yl 
gemafi Schritt 36 von Fig. 2, weil gilt 

yl = yl2-yl3 

15 = (( xm °dp) A (rdpl)).((xmodp) A (dp2/sp)) 

= (xmodp) A ((rdpl)+(dp2/sp)) 

= (x mod p) A (dp/sp) 



20 



25 



Das gesamte RSA-CRT-Verfahren in der hier beschriebenen, besonders 
geschiitzten Ausfiihrungsvariante beginnt mit einer mtegritatsuberprufung 
der Parameter p, q und pinv durch den in Fig. 2 gezeigten Schritt 30. Darauf 
folgen als erster CRT^Berechnungszweig die Schritte des Berechnungs- 
moduls 32' gemafi Fig. 3, urn den ersten Hilfswert yl zu ermitteln. Zur 
Berechnung des zweiten Hilfswerts y2 wird ebenfaUs das in Fig. 3 gezeigte 
Verfahren eingesetzt, wobei natiirHch die Schliisselparameter p, sp und dp 
durch q, sq und dq ersetzt werden. Die Zufallszahl r kann entweder aus dem 
ersten Ablauf des Berechnungsmoduls 32' ubernommen oder neu bestimmt 
werden. Das Endergebnis y wird schhefiUch durch eine Kombination der 
beiden Hilf swerte yl und y2 wie in Schritt 44 von Fig. 2 berechnet. 
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15 



20 



Das in Fig. 4 gezeigte Verfahren sieht einen zusatzlichen ttberprufungs- 
schritt vof, in dem ein weiterer Verschleierungsparameter j herangezogen 
wird. Ein erster Berechnungsblock 60 entspricht ungefahr Schritt 30 in Fig. 2. 
In Schritt 62 wird der Verschleierungsparameter j als zuf allige Primzahl mit 
einer Lange von beispielsweise 32 Bit (4 Byte) gewahlt. Die Primfaktoren p 
und q werden in den Schritten 64 und 66 mit dem Verschleierungsparameter 
j multipliziert, urn verschleierte Primfaktoren p' bzw. q' zu erhalten. In 
Schritt 68 erf olgt ein Test, urn die Integrity der Schlusselparameter p, q und 
pinv zu uberprufen. Falls p'-pinv = j mod q' gilt, wird das Verfahren fortge- 
setzt; andernf alls erfolgt ein Fehleraussprung. 

In einem zweiten Berechnungsblock 70 wird ein erster Hilfswert yl gemafi 
der Formel yl .= (x A (dp/sp)) mod p' bestimmt. Der erste Hilfswert yl ent- 
spricht im wesentiichen dem ersten Hilfswert der Ausfuhrungsbeispiele von 
Fig. 2 und Fig. 3, wobei jedoch p' start p fur die Modulo-Berechnung 
herangezogen wird. Im Detail erfolgt die Berechnung in unterschiedlichen 
Ausfuhrungsvarianten enrweder wie im Berechnungsmodul 32 von Fig. 2 
oder wie im Berechnungsmodul 32' von Fig. 3. In beiden Fallen wird eine 
Teubarkeitsprufung durchgefuhrt, urn die Integrity der Schlusselparameter 
sp und dp sicherzustellen. 



Ein dritter Berechnungsblock 72 entspricht dem zweiten Berechnungsblock 
70 mit dem Unterschied, dafi start dp, sp und p' die Werte dq, sq und q 1 
25 herangezogen werden, urn einen zweiten Hilfswert y2 zu berechnen. 
Wiederum kann der dritte Berechnungsblock 72 entweder wie das 
Berechnungsmodul 38 in Fig. 2 oder analog der Darstellung von Fig. 3 
ausgestaltet sein. Durch einen Teilbarkeitstest im dritten Berechnungsblock 
72 wird die Integrity der Schlusselparameter sq und dq tiberpruft. 
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Schritt 74 betrifft die Berechnung eines Zwischenergebnisses y' vermoge der 
Formel y' := [((y2 - yl) . pinv) mod q'] . p + yl. Dies entspricht ungefahr 
Schritt 44 in Fig. 2. In Schritt 76 erf olgt ein weiterer Test, der die bisheirigen 
5 Berechnungen miteinander in Beziehung setzt und gestfirte 

Berechnungsablaufe erkennt. Es wird iiberpruft, ob die folgende 
Gleichheitsbeziehung modulo j gilt 

y'modj - [ ((x A (dq/sq)) mod j-(x A (dp/sp)) mod j). pinv- p 
0 + (x A (dp/sp)) mod j ] mod j 

Falls diese Gleichung nicht erfiiUt ist, erf olgt ein Fehlerabbruch. Andernf alls 
wird das Verfahren in Schritt 78 mit der Berechnung des Endergebnisses y 
gemafi y := y' mod n abgeschlossen, wobei n der Modulus mit n = pq ist. 
5 Durch die weitere Oberprufung des Berechnungsverlauf s in Schritt 76 wird 
bei dem Verfahren gemafi Fig. 4 ein nochmals verbesserter Schutz gegen 
kryptographische Angriffe erreicht. 
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Patentanspriiche 

1. Verfahren zum geschutzten Ausfiihren einer kryptographischen 
Berechnung, bei der ein Schliissel (12) mit mindestens zwei 
5 Schltisselparametern (p, q, pinv, sp, dp, sq, dq) herangezogen 

wird, dadurch gekennzeichnet, dafi eine Integritatstiberpriifung 
(30, 34, 40, 54) des Schliissels (12) durchgefiihrt wird, urn einen 
kryptographischen Angriff zu verhindern, bei dem durch eine 
Verf alschung mindestens eines ersten Schltisselparameters (p, q, 
10 pinv, sp, dp, sq, dq) Ruckschliisse auf mindestens einen zweiten 

Schliisselparameter (p, q, pinv, sp, dp, sq, dq) gezogen werden. 



2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dafi bei der 
Integritatstiberpriifung (30, 34, 40, 54) ermittelt wird, ob sich der 
15 Wert mindestens eines Schltisselparameters (p, q, pinv, sp, dp, sq, 

dq) in einem mehrf ach unterbrochenen Bereich zulassiger Werte 
befindet. 



3. Verfahren nach Anspruch 1 oder Anspruch 2, dadurch gekenn- 
20 zeichnet, dafi bei der Integritatsiiberpriifung (30, 34, 40, 54) ermit- 
telt wird, ob mindestens zwei Schliisselparameter (p, q, pinv, sp, 
dp, sq, dq) in einer vorbestimmten Beziehung zueinander stehen. 

4, Verfahren nach einem der Anspriiche 1 bis 3, dadurch gekenn- 
25 zeichnet, dafi die Integritatsiiberpriifung (30, 34, 40, 54) eine 

multiplikative Operation, insbesondere eine Teilbarkeitsprufung, 
beinhaltet. 
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5. Verf ahren nach einem der Anspriiche 1 bis 4, dadurch gekenn- 
zeichnet, dafi bei der Integritatsprtifung (30, 34, 40, 54) gepriift 
wird, ob ein ScHusselpararneter (p, q, pinv, sp, dp, sq, dq) x>der 
ein Wert, der sich von dem Schliisselparameter (p, q, pinv, sp, dp, 
sq, dq) durch ein Vielfaches eines Sicherungswertes (sp, sq) unter- 
scheidet, glatt durch den Sicherungswert (sp, sq) teilbar ist. 



6. Verfahren nach einem der Anspriiche 1 bis 5, dadurch 
gekennzeichnet, dafi bei der Integritatspriifung eine mit den 
Schliisselparametern (p, q, pinv, sp, dp, sq, dq) abgespeicherte 
Priifsumme mit einer nach der Obergabe der Schliisselparameter 
(p, q, pinv, sp, dp, sq, dq) neu berechneten Priisumme vergUchen 
wird. 

7. Verfahren nach einem der Anspriiche 1 bis 6, dadurch 
gekennzeichnet, dafi zur Priifung der Integritat wichtige 
Obergabeparameter mehrfach iibergeben und nach der Obergabe 
auf Identitat gepriift werden. 



8. Verfahren nach einem der Anspriiche 1 bis 7, dadurch gekenn- 
zeichnet, dafi die kryptographische Berechnung eine Entschliisse- 
lung oder Signaturerzeugung bei einem RSA-Verfahren, insbe- 
sondere einem RSA-CRT-Verfahren, ist. 

9. Verfahren nach Anspruch 8, dadurch gekennzeichnet, dafi bei der 
kryptographischen Berechnung mindestens eine Potenzierungs- 
operation durchgefiihrt wird, und dafi bei der Integritatspriifung 
(30, 34, 40, 54) gepriift wird, ob der bei der Potenzierungsopera- 
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tion verwendete Exponent glatt durch einen Sicherungswert (sp, 
sq) teilbar ist. 

). Verfahren nach Anspruch 9, dadurch gekennzeichnet, dafi bei der 
kryptographischen Berechnung ein Exponenten-Verschleierungs- 
verfahren zum Ausspahungsschutz angewendet wird. 

. Verfahren nach einem der Anspriiche 8 bis 10, dadurch gekenn- 
zeichnet, dafi die Primfaktoren (p, q) des RSA-Verfahrens mit 
einem Verschleierungsparameter (j) multipliziert werden, und 
dafi die Fehlerfreiheit des Berechnungsverlaufs durch eine Gleich- 
heitsiiberprufung modulo des Verschleierungsparameters (j) 
uberpruft wird. 

Verfahren zum Bestimmen eines Schliissels fur eine kryptographi- 
sche Berechnung mit mindestens zwei Schlusselparametern (p, q, 
pinv, sp, dp, sq, dq), der zur Verwendung in einem Verfahren 
nach einem der Anspriiche 1 bis 9 vorgesehen ist. 

Verfahren nach Anspruch 12, dadurch gekennzeichnet, dafi 
mindestens ein Schlusselparameter (p, q, pinv, sp, dp, sq, dq) 
durch eine Multiplikation eines fur die kryptographischen 
Berechnung benotigten Wertes mit einem Sicherungswert (sp, sq) 
erhalten wird. 



14. 



Computerprograrnmprodukt, das Programmbefehle aufweist, urn 
einen Prozessor zu veranlassen, ein Verfahren mit den Merkmalen 
eines der Anspriiche 1 bis 13 auszufuhren. 
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15. Tragbarer Datentrager, insbesondere Chipkarte oder Chipmodul, 
der zur Ausfiihrung eines Verf ahrens mit den Merkmalen eines 
der Anspriiche 1 bis 13 eingerichtet ist. 
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P' := P-J -64 
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Y := [ ((Y2 - Y1) • PINV) MOD Q' ] • P + Y1 -74 
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